網(wǎng)絡(luò)安全等級保護(hù)制度是國家信息安全保障工作的基本制度、基本策略和基本方法，是促進(jìn)信息化健康發(fā)展，維護(hù)國家安全、社會秩序和公共利益的根本保障。沒有網(wǎng)絡(luò)安全，就沒有國家安全�！吨腥A人民共和國網(wǎng)絡(luò)安全法》第二十一條明確指出：國家實(shí)行網(wǎng)絡(luò)安全等級保護(hù)制度。網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)按照網(wǎng)絡(luò)安全等級保護(hù)制度的要求，履行下列安全保護(hù)義務(wù)，保障網(wǎng)絡(luò)免受干擾、破壞或者未經(jīng)授權(quán)的訪問，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改，將網(wǎng)絡(luò)安全等級保護(hù)上升到法律高度。網(wǎng)絡(luò)安全等級保護(hù)工作不僅是保障重要信息系統(tǒng)安全的重大措施，也是一項(xiàng)事關(guān)國家安全、社會穩(wěn)定、國家利益的重要任務(wù)。
為組織各單位、各部門開展網(wǎng)絡(luò)安全等級保護(hù)工作，公安部和標(biāo)準(zhǔn)化工作部門組織制定了網(wǎng)絡(luò)安全等級保護(hù)工作的一系列標(biāo)準(zhǔn)，形成網(wǎng)絡(luò)安全等級保護(hù)標(biāo)準(zhǔn)體系，為開展網(wǎng)絡(luò)安全等級保護(hù)工作提供了標(biāo)準(zhǔn)保障。而且，為適應(yīng)新技術(shù)的發(fā)展，滿足云計(jì)算、物聯(lián)網(wǎng)、移動互聯(lián)和工控領(lǐng)域信息系統(tǒng)的等級保護(hù)工作的需要，由公安部牽頭組織開展了信息技術(shù)新領(lǐng)域等級保護(hù)重點(diǎn)標(biāo)準(zhǔn)申報(bào)國家標(biāo)準(zhǔn)的工作，等級保護(hù)于2019年12月1日正式進(jìn)入2.0時(shí)代，這為貫徹落實(shí)《中華人民共和國網(wǎng)絡(luò)安全法》、實(shí)現(xiàn)國家網(wǎng)絡(luò)安全戰(zhàn)略目標(biāo)奠定了基礎(chǔ)。等級保護(hù)2.0版本增加了對云計(jì)算、移動互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制和大數(shù)據(jù)等新技術(shù)新應(yīng)用的全覆蓋，定級對象更為廣泛，包含信息系統(tǒng)、基礎(chǔ)信息網(wǎng)絡(luò)、云計(jì)算平臺、大數(shù)據(jù)平臺、物聯(lián)網(wǎng)系統(tǒng)、工業(yè)控制系統(tǒng)、采用移動互聯(lián)技術(shù)的網(wǎng)絡(luò)等。
自從1994年國務(wù)院147號令第一次提出等級保護(hù)的概念以來，等級保護(hù)工作得到政府、金融、教育、能源等各行各業(yè)的廣泛認(rèn)可。公安機(jī)關(guān)、行業(yè)主管部門、信息系統(tǒng)運(yùn)營使用單位、網(wǎng)絡(luò)安全等級測評機(jī)構(gòu)等成為網(wǎng)絡(luò)安全等級保護(hù)工作的執(zhí)行主體，其中公安機(jī)關(guān)主要承擔(dān)監(jiān)督檢查工作，同時(shí)負(fù)責(zé)管理測評機(jī)構(gòu)以及各單位的系統(tǒng)定級備案；網(wǎng)絡(luò)安全等級測評機(jī)構(gòu)主要承擔(dān)系統(tǒng)測評工作；信息系統(tǒng)運(yùn)營使用單位對系統(tǒng)安全負(fù)主要責(zé)任，負(fù)責(zé)定級、備案、建設(shè)整改。而且，隨著云計(jì)算、物聯(lián)網(wǎng)、移動互聯(lián)、邊緣計(jì)算技術(shù)的快速發(fā)展，人類進(jìn)入以大數(shù)據(jù)、萬物互聯(lián)及人工智能 為特點(diǎn)的新時(shí)代，新型應(yīng)用不斷涌現(xiàn)，企業(yè)越來越多的業(yè)務(wù)轉(zhuǎn)移到網(wǎng)絡(luò)平臺，核心業(yè)務(wù)的正常運(yùn)營離不開安全可靠的信息系統(tǒng)支撐。結(jié)合近些年的工作實(shí)踐，在國家出版基金的支持下，編寫了這本書。
本書對等級保護(hù)的基礎(chǔ)理論以及應(yīng)用進(jìn)行闡述，圍繞等保規(guī)定動作進(jìn)行詳細(xì)說明，尤其是網(wǎng)絡(luò)安全等級保護(hù)的基本要求、測評要求，同時(shí)提供與等級保護(hù)工作相關(guān)的工具及知識庫。本書是一本系統(tǒng)化、全面化介紹網(wǎng)絡(luò)安全等級保護(hù)理論及應(yīng)用的書籍，便于網(wǎng)絡(luò)空間安全從業(yè)人員了解等級保護(hù)工作的必要性及重要意義，掌握等級保護(hù)政策及標(biāo)準(zhǔn)體系，學(xué)習(xí)等級保護(hù)測評的基本知識，指導(dǎo)信息安全專業(yè)相關(guān)人員實(shí)現(xiàn)更好的安全保障。
本書第1章從常見信息系統(tǒng)技術(shù)架構(gòu)的安全需求出發(fā)，引出信息安全評估的必要性及框架，包括信息安全評估的發(fā)展演化、評估模型及要素等，進(jìn)一步介紹網(wǎng)絡(luò)安全等級保護(hù)理論體系，給出等級測評理論研究進(jìn)展及發(fā)展趨勢。第2章為等級保護(hù)的基礎(chǔ)理論及核心模型，介紹PDCA過程模型、IATF保護(hù)框架、P2DR動態(tài)防御模型、風(fēng)險(xiǎn)評估理論、層次分析法和本體論，并介紹理論模型與等保工作的結(jié)合。第3章介紹等級保護(hù)的信息系統(tǒng)安全定級與備案，這是等級保護(hù)的首要環(huán)節(jié)，包括安全等級劃分的含義、定級原則與方法以及系統(tǒng)備案含義與流程等。第4章為網(wǎng)絡(luò)安全等級保護(hù)的基本要求，是等級測評機(jī)構(gòu)判定信息系統(tǒng)是否符合等級保護(hù)要求的依據(jù)，對通用要求和新型應(yīng)用系統(tǒng)的擴(kuò)展要求進(jìn)行解讀。第5章介紹被測對象系統(tǒng)的采集技術(shù)，包括信息踩點(diǎn)、端口掃描、操作系統(tǒng)識別技術(shù)以及基本信息調(diào)查表，這是測評對象選擇、測試工具接入以及開發(fā)測評指導(dǎo)書的基礎(chǔ)知識。第6章介紹安全漏洞檢測及滲透測試技術(shù)，包括主動模擬攻擊式、主動查詢式、被動監(jiān)聽式等多種漏洞檢測技術(shù)，以及Web滲透測試。漏洞檢測與滲透測試是等級測評工作中必不可少的活動，通過滲透測試技術(shù)驗(yàn)證掃描發(fā)現(xiàn)漏洞的有效性。第7章為脆弱性關(guān)聯(lián)分析技術(shù)，即攻擊圖生成技術(shù)及應(yīng)用，包括攻擊圖概念、類型、生成工具及分析方法，并將等級測評的單風(fēng)險(xiǎn)點(diǎn)分析拓展到孤立風(fēng)險(xiǎn)點(diǎn)的關(guān)聯(lián)分析。第8章為等級測評相關(guān)工具及知識庫，介紹應(yīng)用、主機(jī)、數(shù)據(jù)庫、源碼、滲透測試、App等不同層次的安全漏洞檢測工具，還介紹了國內(nèi)外主流的漏洞知識庫，諸如CVE、CNVD等，本章內(nèi)容為等級測評工作提供支撐。第9章為等級保護(hù)測評的典型應(yīng)用，介紹了測評對象選擇原則、測評指標(biāo)的確定方法、漏洞掃描測試點(diǎn)的確定等，對云租戶、工業(yè)控制系統(tǒng)的測評關(guān)鍵技術(shù)點(diǎn)進(jìn)行詳細(xì)介紹，幫助讀者掌握等級測評實(shí)施方法，將等級測評理論方法應(yīng)用于實(shí)踐中。第10章分析等級測評面臨的挑戰(zhàn)，尤其是新型系統(tǒng)的測評標(biāo)準(zhǔn)及測評能力有待完善、面向新型技術(shù)的安全測評規(guī)范缺失以及新型智能算法帶來的隱私問題，最后展望等級測評的未來發(fā)展趨勢。
本書既可作為信息系統(tǒng)安全管理人員、等級測評機(jī)構(gòu)人員的技術(shù)參考書，也可作為高等院校網(wǎng)絡(luò)空間安全及相關(guān)專業(yè)的本科生和研究生教